V2EX = way to explore
V2EX 是一个关于分享和探索的地方
Sign Up Now
For Existing Member Sign In
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
如果把评论提交的‘<’，‘"’，‘>’，‘&’都转码为<>%22&;&之类的，是不是就可以防止 xxs。
huahsiung · Sep 29, 2023 · 3041 viewsThis topic created in 942 days ago, the information mentioned may be changed or developed.
博客的评论，如果过滤关键词 script,onerror 等等可能会误判。
‘<’，‘"’，‘>’，‘&’转码为
<>%22;&
感觉转码这四个，应该就稳了。
‘<’，‘"’，‘>’，‘&’转码为
<>%22;&
感觉转码这四个，应该就稳了。
 |
1
vigossliao Sep 29, 2023
|
 |
2
jsq2627 Sep 29, 2023  1
现在浏览器有原生 HTML Sanitizer 了
https://developer.mozilla.org/en-US/docs/Web/API/HTML_Sanitizer_API |
 |
3
agagega Sep 29, 2023
如果只需要展示纯文本的话，用 innerText 不就行了？
|
 |
4
hgc81538 Sep 29, 2023 via iPhone
應該轉碼&<>"'去&<>"'就穩了
|
 |
5
ysc3839 Sep 29, 2023 via Android
可能不止这几个字符，建议直接使用现成的 html 转义库
|
 |
6
rabbbit Sep 29, 2023
|
 |
7
xiangyuecn Sep 29, 2023
onclick='alert(1)'
|
|
8
xiangyuecn Sep 29, 2023
不用白名单，直接全部 ASCII 字符除了换行字母数字全部用 { 转义完事
|
Select Language